Conformità alla NIS2: la gestione dei log di sicurezza
Perché la gestione dei log è centrale per NIS2 e audit di sicurezza?
La gestione dei Log per indirizzare la conformità alla Direttiva NIS2 è fondamentale perché permette di dimostrare in modo oggettivo l’adozione delle misure di sicurezza necessarie per adempiere pienamente ai requisiti imposti.
Queste comprendono la conservazione e il mantenimento dell’integrità dei dati, il monitoraggio continuo degli eventi di sicurezza e la capacità di rilevare e rispondere tempestivamente agli incidenti.
Perché il Log Management è strategico ai fini della conformità:
- Consente il monitoraggio continuo di accessi, configurazioni e attività privilegiate.
- Attraverso la produzione di report e audit, fornisce la traccia provabile necessaria per ricostruire incidenti, identificare cause e dimostrare che le misure di sicurezza sono state applicate correttamente.
- Supporta la gestione del rischio e l’incident response, perché i log sono la base per analisi forensi, correlazioni e reazioni automatiche tramite SOC, SIEM e SOAR.
Quali sono i requisiti per la raccolta dei Log in ambito NIS2?
Il requisito PR.PS-04 dell’Allegato 1 impone ai soggetti NIS di generare, conservare e rendere disponibili i registri di log in modo strutturato e coerente con il livello di rischio dell’organizzazione.
Cosa richiede PR.PS-04 in sintesi
Secondo la prassi interpretativa e le linee guida operative, PR.PS‑04 impone sostanzialmente quattro obblighi principali:
- Registrazione degli accessi critici: devono essere tracciati tutti gli accessi remoti ai sistemi informativi e di rete e tutti gli accessi effettuati tramite utenze con privilegi amministrativi (es. domain admin, root, account di servizio privilegiati).
- Conservazione sicura e centralizzata: i log rilevanti per la sicurezza devono essere conservati in modo sicuro (protezione da alterazione, cancellazione non autorizzata) e, ove possibile, centralizzati (es. tramite SIEM o soluzione di log management) per facilitare monitoraggio e analisi.
Tempistiche di conservazione definite: i tempi di retention dei log devono essere definiti e documentati, in base agli esiti della valutazione del rischio, alla normativa vigente (es. NIS2, GDPR) e alle esigenze di audit e investigazione.
Procedure documentate di log management: tutte le attività di raccolta, conservazione, protezione e accesso ai log devono essere formalizzate in procedure scritte, coerenti con le politiche di sicurezza dell’organizzazione e con i processi di incident response.
I 3 pilastri dei log come evidenza: retention, integrità, reperibilità
Per la conformità alla Direttiva NIS2 i log devono essere considerati “evidenza” davanti a autorità, auditor e ispettori.
In questo senso si riconoscono tre pilastri fondamentali: retention, integrità e reperibilità.
Retention: conservare i log nel modo corretto
La retention è la garanzia che i log siano conservati per un periodo sufficiente a soddisfare requisiti normativi (NIS2, GDPR), esigenze di audit e analisi forense.
- Deve essere definita e documentata in base alla valutazione del rischio: tipologia di log, categoria di sistema (critico/non critico), obblighi di settore.
- Tipicamente si va da 6–12 mesi per log di sicurezza operativi, fino a 12–24 mesi (o più) per audit e incidenti gravi, coerentemente con il requisito PR.PS‑04 e la governance di sicurezza.
Integrità: i log devono essere affidabili
L’integrità garantisce che i log siano non alterabili e che le modifiche siano tracciate e giustificate.
- I log devono essere archiviati in percorsi dedicati, con accessi limitati solo a personale autorizzato e controlli che impediscono la cancellazione o la modifica retrospettiva.
- Eventuali ripuliture o rotation devono essere registrate in altri log (es. log di audit del SIEM) per mantenere la tracciabilità, così da non compromettere la catena delle prove.
Reperibilità: trovare subito ciò che serve
La reperibilità assicura che, in caso di audit, incidente o richiesta da parte delle autorità, i log siano localizzabili, accessibili e estraibili in modo strutturato.
- Implica una raccolta centralizzata (SIEM/log manager), con indexing e metadati che permettono di filtrare rapidamente per sistema, data, utente, tipo di evento.
- Deve esistere una procedura documentata che descrive dove sono conservati i log, chi li può consultare e come estrairli (es. report, query, dump) per dimostrare conformità NIS2 in modo efficiente.
Piattaforma SGBox: dal dato all’evidenza
La Piattaforma SGBox unisce funzionalità di Log Management avanzato, SIEM e SOAR per trasformare i log in evidenza concreta, monitorare proattivamente gli eventi e attivare risposte automatiche agli incidenti, attività indispensabili per adempiere pienamente agli obblighi introdotti dalla NIS2.
Partendo dalla raccolta, conservazione e protezione dei Log, SGBox permette di abilitare la creazione di regole di correlazione degli eventi di sicurezza, allo scopo di ottenere una visione centralizzata e in tempo reale sulla sicurezza di tutti i dispositivi che generano Log.
L’obiettivo è quello non solo di raccogliere i dati, ma di trasformarli in dati azionabili per individuare in anticipo le minacce, gestire gli incidenti e attivare contromisure automatiche per rispondere agli incidenti.
Grazie a dashboard dettagliate ed intuitive, è possibile avere il pieno controllo e la visibilità dello stato di sicurezza del perimetro digitale aziendale.